「OpenSSL」にあらたな脆弱性 - アップデートを公開
「OpenSSL」の開発チームは、あらたな脆弱性を発表した。これまでに判明している脆弱性とあわせて修正を行ったセキュリティアップデートを提供している。
現地時間2025年2月11日にセキュリティアドバイザリを公開し、認証におけるエラー処理が適切に行われない脆弱性「CVE-2024-12797」について明らかにしたもの。「Raw Public Keys(RPK)」をサーバやクライアントで有効化している場合に影響を受ける。
未認証であるサーバとのハンドシェイクが本来失敗すべきところ、異常が検出されずに通信が継続し、「TLS」「DTLS」の通信における中間者攻撃(MITM攻撃)のリスクが高まるとしている。
「OpenSSL 3.2」で「RPK」をサポートした際に生じたもので、2024年12月18日に報告を受けた。開発チームでは脆弱性の重要度を、4段階中、上から2番目にあたる「高(High)」とレーティングしている。
開発チームは、脆弱性に対処した「同3.4.1」「同3.3.3」「同3.2.4」をリリースした。「同3.3.3」「同3.2.4」については、先に判明した「CVE-2024-13176」「CVE-2024-9143」についても修正されている。
また今回判明した「CVE-2024-12797」の影響を受けないが、「CVE-2024-13176」や「CVE-2024-9143」へ対処したアップデート「同3.1.8」「同3.0.16」をあわせて公開した。
(Security NEXT - 2025/02/12 )
ツイート
PR
関連記事
エンプラサーバなどに採用されるAMI製「BMC」にRCE脆弱性
KDDIのホームゲートウェイ「HGW-BL1500HM」に複数脆弱性
「FortiOS」脆弱性や不正コード混入「Githubアクション」の悪用に注意喚起 - 米政府
SAP、3月の月例パッチを公開 - 新規アドバイザリ21件を公開
サーバ製品「HPE Cray XD670」の管理ソフトに深刻な脆弱性
「Apache Tomcat」の脆弱性攻撃が発生 - 「WAF」回避のおそれも
図書館管理システム「Koha」に複数脆弱性 - アップデートで修正
PerconaのDB管理ツールに深刻な脆弱性 - 更新と侵害有無の確認を
「Microsoft Edge」にアップデート - Chromiumの脆弱性修正を反映
「Chrome」のGPU脆弱性修正、WebKit関連のゼロデイ脆弱性と判明